文件: vendor/ares/framework/src/Foundation/Http/HttpUtils.php:64

public static function isDirectRequest(): bool
{
    $request = app('request');
    $userAgent = $request->header('User-Agent');
    $userAgentMatches = $userAgent && Str::is('ModularConnector/* (Linux)', $userAgent);
    $originQuery = $request->has('origin') && $request->get('origin') === 'mo';
    $isFromQuery = ($originQuery || $userAgentMatches) && $request->has('type');

    if ($isFromQuery) {
        return true;   // ⚠️ 仅凭查询参数，无签名
    }
    return false;
}

问题： “直接请求”模式 —— 本意是识别来自 Modular SaaS 后端的合法请求 —— 却仅靠 明文查询参数 来判定，没有 HMAC、没有 JWT、没有签名随机数、没有 IP 白名单。任何攻击者都可以轻易触发此开关。

文件: vendor/ares/framework/src/Foundation/Routing/Router.php:20

protected function findRoute($request)
{
    $this->current = $route = apply_filters(
        'ares/routes/match',
        $this->routes->match($request),   // ⚠️ 在安全过滤器运行前，URL 已被解析为路由
        true
    );
    $route->setContainer($this->container);
    $this->container->instance(Route::class, $route);
    return $route;
}

问题： Laravel 的 routes->match($request) 会将 /api/modular-connector/login/xxx 解析为 login 路由（受认证守卫保护）早于安全过滤器执行。过滤器接收到的这个路由作为输入，因此它必须证明该路由非法，而非主动授权。

文件: src/app/Providers/RouteServiceProvider.php:46

public function bindOldRoutes($route, $removeQuery = false)
{
    if (!HttpUtils::isDirectRequest()) return $route;

    $request = request();
    $type = $request->header('x-mo-type', $request->get('type'));

    if ($type === 'request') { /* 通过签名 OAuth 调用重新绑定 */ }
    if ($type === 'oauth')   { /* 重新绑定到 /oauth 处理器 */ }
    if ($type === 'lb')      { /* 重新绑定到 /schedule/run */ }

    return $route;   // ⚠️ 未知 type → 保留 URL 解析出的路由不变
}

问题： 过滤器仅在 type 为三个已知值之一时才覆盖路由。当 type 为任意值（x、foo、空）时，它会穿透并返回未修改的 URL 解析路由。而由 URL 驱动的 login 路由（理论上受认证守卫保护）便进入中间件评估。

文件: vendor/ares/framework/src/Foundation/Auth/ModularGuard.php:16

public function check()
{
    return !is_null($this->user());
}

public function user()
{
    $client = OauthClient::getClient();
    try {
        $client->validateOrRenewAccessToken();   // ⚠️ 检查服务器状态
        $this->user = ['id' => $client->getClientId()];
    } catch (\Throwable $e) {
        return null;
    }
    return $this->user;
}

问题： 自定义的 modular 守卫 完全未验证传入请求的身份。它只检查插件本身是否仍持有与 Modular SaaS 的有效 OAuth 会话。由于几乎所有安装都已连接（否则插件毫无用处），因此守卫对所有到达它的请求都返回 true。

这是关键缺陷。即使修复了缺陷 ①–③，单凭这个损坏的守卫，也足以让 auth 中间件组中的每个路由都被未经授权地访问。

文件: src/app/Http/Controllers/AuthController.php:66

public function getLogin(SiteRequest $modularRequest)
{
    $user = data_get($modularRequest->body, 'id');   // null — 绑定从未被填充

    if (!empty($user)) {
        $user = get_user_by('id', $user);
    }

    if (empty($user)) {
        Cache::driver('wordpress')->forget('user.login');
        $user = ServerSetup::getAdminUser();   // 💣 站点的第一个管理员
    }

    $cookies = ServerSetup::loginAs($user, true);   // 💣 发放 WP 会话 cookie
    return Response::redirectTo(admin_url('index.php'))->withCookies($cookies);
}

问题： SiteRequest 路由-模型绑定仅在过滤器链中 type === 'request' 时才会被填充。对于未知的 type，$modularRequest 以一个空对象到达控制器。随后，控制器静默地 回退到第一个管理员用户 并签发 WordPress 登录 cookie。任何人都可以从前门走进来。